UAC首先发送一个不包含认证信息的SIP请求消息 (如INVITE或REGISTER)到UAS、代理服务器或注册服务器。若UAS、代理服务器或注册服务器要求认证，则向客户端发回一个请求鉴别的SIP消息。对于UAS和注册服务器，为041;对于代理服务器，为407。这个消息代表了挑战，并且包括了临时值和作用域。对于 UAS和注册服务器，这些值包含在 WWW-Authentcaite 头字段中;对于代理服务器，这些值包含在Proxy-Authenticate头字段中。
UAC根据消息中的质询信息，重新生成一个请求消息发送给UAS、代理服务器或注册服务器。消息中包含鉴权信息，包括用户名以及UAC对用户名、密码、realm、Request-URI和nonce计算生成的加密结果 response.对于 UAS和注册服务器，这些信息包含在Authorization头字段中;对于代理服务器，这些值包含在Porxy-Authorization头字段中。UAS、代理服务器或注册服务器将接收到的respones与自己根据相同算法计算得到的结果比较，若一致，则返回200 0K消息表示认证通过。
